FOR508: Advanced Incident Response, Threat Hunting, and Digital Forensics

このセクションではまず、高度な脅威グループへの対応に適用される6段階のインシデント対応手法について解説します。攻撃者の目的に影響を与えるためのスレットインテリジェンスの重要性を取り上げ、単一システムからエンタープライズ全体に適用可能なフォレンジックのライブレスポンス手法を紹介します。

主なトピック

• 実践的なインシデント対応手法
• エンタープライズにおけるスレットハンティング
• エンタープライズ全体を対象としたインシデント対応とハンティング
• マルウェアによる防御回避とパーシステンスの特定
• 認証情報の窃取に対する予防と対策

ラボ

• APTインシデント対応シナリオの導入
• マルウェアのパーシステンス検知と分析
• ローカルおよびリモートでのトリアージ用証拠イメージの作成
• リモートエンドポイントにおけるインシデント対応のスケーリング

概要

攻撃者に対して優位に立つための方法は存在します。その出発点は、正しいマインドセットと、実際に有効な手法を理解することです。

この10年、ネットワーク防御者にとって決して容易な時代ではありませんでした。現代のエンタープライズ環境は数多くの脅威にさらされており、その複雑さは攻撃者にとって有利に働いてきました。しかし、状況は変わりつつあります。過去10年間で高度な攻撃は大幅に増加し、国家支援型攻撃者（APT）は依然として対処が困難な存在です。また、世界各地からの大規模な金銭目的の攻撃により、莫大な被害が発生しています。さらに、ランサムウェアや恐喝攻撃は短期間で重大な脅威へと発展しました。それでも、優れたセキュリティチームは、これらの脅威に対処し、軽減できることを証明しています。FOR508では、こうした現場で培われた実践的な知見を体系的に学びます。

攻撃を理解することは、検知や対策の前提となります。本コースでは初日から攻撃手法の学習を開始し、一般的なマルウェアや攻撃の特徴を理解するとともに、攻撃者がネットワーク内でパーシステンスを確立する手法について深く掘り下げます。パーシステンスは攻撃の初期段階で確立されることが多く、受講者はネットワーク全体を監査し、早期に異常を発見するためのハンティング手法を習得します。

また、Living off the Land（環境内に標準で存在するツールの悪用）やPowerShell、WMIを利用した攻撃は、高度な攻撃者にとって標準的な手法となっており、本コースではこれらを大規模環境で特定するためのツールや手法について実践的に学びます。

最後に、Microsoft環境における認証の仕組みについて詳しく解説します。現代のエンタープライズにおける認証の複雑さは非常に高く、認証情報はあらゆるネットワークにおける最大の弱点の一つです。攻撃者がどのように認証情報を狙うのかを理解することで、受講者はこれらの攻撃を防止・検知・対処するための知識を身につけます。

セクション2では、攻撃者が用いる代表的な手口（トレードクラフト）を取り上げるとともに、エンタープライズ環境における不正な活動を特定するために活用できる各種データソースやフォレンジックツールについて解説します。実践的なスレットハンティングに向けた準備を整えます。

主なトピック

• 高度な実行痕跡の検知手法
• ラテラルムーブメントにおける攻撃者の戦術とテクニック
• インシデント対応およびハンティングにおけるログ分析
• WMIやPowerShellを悪用した攻撃の調査

ラボ

• 大規模環境における実行痕跡のハンティングと検知
• 認証情報の悪用の特定
• ラテラルムーブメントの追跡
• WMIやPowerShellの不正利用のハンティング
• Microsoft Defenderログの分析

概要

どれほど熟練した攻撃者であっても、必ず痕跡を残します。優れたハンターが実践している手法を学びましょう。

サイバー防御に携わる担当者には、ネットワーク内の攻撃者の活動を特定・追跡・分析するための多様なツールやアーティファクトが存在します。攻撃者のあらゆる行動は何らかの痕跡を残すため、それらがどのような形で現れるのかを理解することは、レッドチーム・ブルーチームの双方にとって極めて重要です。

攻撃は一定のパターンに従って進行することが多く、本コースでは、その中でも変化しにくい要素に着目して調査を行います。例えば、攻撃者は目的を達成するために必ずコードを実行する必要があり、その活動はアプリケーション実行の痕跡として確認できます。また、コード実行にはアカウントが必要となるため、アカウントの監査は不正な活動を特定するうえで非常に有効な手段となります。

セクション3では、利用可能な高度なメモリ解析手法の数々を取り上げ、使用するツールに依存せず調査を加速できる、実践的なメモリフォレンジックの基礎力を養います。

主なトピック

• エンドポイント検知・対応（EDR）
• メモリ取得およびフォレンジック解析
• メモリフォレンジックの実践的な調査手法
• メモリ解析ツール

ラボ

• メモリ上のカスタムマルウェアの検知
• Windowsのプロセスツリーの解析
• 高度な「ビーコン型」マルウェアの特定
• マルウェアの高度な隠蔽手法の特定
• 複数の感染システムのメモリ解析

概要

メモリ解析を使うと、まるで“反則”のように感じることがあります。進行中の攻撃を、これほど容易に見つけられてよいのかと思うほどです。

メモリフォレンジックは、この数年で大きく進化しました。現在では多くの高度なツール（特にEDR）において重要な機能となっており、インシデント対応やスレットハンティングにおいて不可欠な要素となっています。

メモリ解析は、ワームやルートキット、PowerShellを用いた攻撃、ランサムウェアの前兆、さらには標的型攻撃で使用される高度なマルウェアの痕跡を特定するうえで非常に高い効果を発揮します。特に、ファイルを残さない攻撃（ファイルレス攻撃）の中には、メモリ解析なしでは解明が困難なものもあります。

従来、メモリ解析はWindows内部構造に精通した専門家やリバースエンジニアの領域とされてきましたが、近年ではツールや手法、検知ロジックの進化により、インシデント対応者や調査担当者、スレットハンターなど、より幅広い実務者が活用できる技術へと発展しています。

このセクションでは、高度なインシデント対応やスレットハンティング、フォレンジック調査で用いられる、代表的な2つのタイムライン作成・分析手法を段階的に学びます。演習を通じて、タイムラインの作成方法に加え、調査で効果的に活用するために必要な分析の基本手法も身につけます。

主なトピック

• マルウェア検知と初動トリアージ
• タイムライン分析の概要
• ファイルシステムタイムラインの作成と分析
• スーパータイムラインの作成と分析

ラボ

• マルウェアの発見
• スーパータイムライン分析による攻撃者活動の追跡
• システム間における攻撃者の動きの可視化
• 侵害の根本原因の特定

概要

タイムライン分析は、デジタルフォレンジック、スレットハンティング、インシデント対応の進め方を大きく変える手法です。

コンピュータシステムには、さまざまな場所に時間情報が存在します。ファイルの作成・変更・アクセス時刻、ログ、ネットワークデータ、レジストリ、ブラウザ履歴など、あらゆるデータに含まれる時間情報を相関分析することで、調査を迅速に進めることが可能になります。

2001年にRob Leeによって提唱されたタイムライン分析は、その後大きく発展し、現在ではインシデント対応やスレットハンティング、フォレンジックにおける重要な手法となっています。最新の分析フレームワークにより、複数のシステムや多様なフォレンジックデータを同時に分析できるようになり、従来は数日かかっていた分析が、わずか数分で実施できるケースもあります。

セクション5では、調査に必要なファイルやファイル断片、メタデータの復元に焦点を当てます。これらの痕跡情報は、削除されたログや攻撃者のツール、マルウェアの設定情報、持ち出されたデータなどを明らかにする手がかりとなります。これらの手法は侵害対応に限らず、多くのフォレンジック調査に応用可能です。

主なトピック

• ボリュームシャドウコピーの分析
• 高度なNTFSファイルシステムの解析手法
• 高度な証拠データの復元

ラボ

• ボリュームシャドウスナップショットの分析
• タイムライン分析
• NTFSを用いたアンチフォレンジック解析
• Timestompの特定
• 高度なデータ復元

概要

高度な攻撃者は常に手法を進化させており、防御側もそれに対応し続ける必要があります。

攻撃者は侵害したシステム上で自らの痕跡を隠すために、さまざまなアンチフォレンジック手法を用います。中には比較的容易に検知できるものもありますが、より高度で発見が難しい手法も存在します。そのため、フォレンジック担当者やインシデント対応者は、オペレーティングシステムやファイルシステムの仕組みを深く理解し、残されたわずかな痕跡から重要な証拠を見つけ出す能力が求められます。

このセクションでは、実際のWindowsエンタープライズ環境への侵入を再現した、非常に実践的かつリアルな演習を通じて、これまでに学んだ内容を総合的に活用します。受講者は、

• どのように初期侵害が行われたのかの特定
• ラテラルムーブメントによって侵害された他システムの特定
• データ流出により窃取された知的財産の特定

に取り組みます。

最終ラボでは、30台以上のシステム（Windows 10／11、DMZサーバー、ドメインコントローラー、開発サーバー、Exchangeなど）にわたる調査を実施します。

長年にわたり高度な脅威と対峙してきた講師陣によって設計された、実際の攻撃に基づく調査経験を得ることができます。